Prescrizioni del Garante n. 818 del 19/12/2024

Proroga dei termini per Foodinho s.r.l. su cancellazione dati biometrici e prescrizioni GDPR

Il provvedimento riguarda Foodinho s.r.l. ed è adottato a seguito della richiesta di proroga formulata dalla Società dopo il precedente provvedimento del 13 novembre 2024, n. 675, relativo ai trattamenti di dati personali dei rider. L’Autorità, valutate la complessità tecnica degli adeguamenti richiesti e la disponibilità della Società a cooperare, concede un’estensione dei termini solo per l’adempimento dell’ordine di cancellazione dei dati biometrici e delle prescrizioni già impartite.

Origine e contesto del procedimento

Con il provvedimento n. 675/2024 il Garante aveva ordinato a Foodinho s.r.l. di conformare i trattamenti al GDPR e al Codice privacy con una serie di prescrizioni riguardanti, tra l’altro, informativa, valutazione di impatto, conservazione dei dati, misure per i trattamenti automatizzati e algoritmici, gestione dei feedback reputazionali, uso del GPS, designazione dei rider ai sensi dell’art. 28 GDPR e adempimenti in materia di controllo a distanza ex art. 4, comma 1, della l. n. 300/1970. Con lo stesso provvedimento era stato disposto il divieto di ulteriore trattamento dei dati biometrici dei rider, l’ordine di cancellazione di tali dati entro 30 giorni e l’irrogazione di una sanzione amministrativa pecuniaria di euro 5.000.000,00.

Istanza della Società e valutazione del Garante

Foodinho s.r.l., con nota del 16 dicembre 2024, ha comunicato di non voler impugnare il provvedimento n. 675 e di voler procedere al pagamento della sanzione in forma ridotta, chiedendo però una proroga di 90 giorni per l’attuazione delle misure prescrittive. La Società ha motivato l’istanza con la particolare complessità delle modifiche tecniche da apportare alla piattaforma e con l’elevato investimento richiesto. Ha inoltre dichiarato di voler mantenere un dialogo costante con l’Autorità e di voler adempiere al divieto e alle prescrizioni imposte.

Il Garante ritiene i motivi addotti meritevoli di considerazione, soprattutto in relazione alla novità e alla complessità delle attività necessarie per adeguare i trattamenti alla disciplina in materia di protezione dei dati personali.

Proroga dell’ordine di cancellazione dei dati biometrici

L’Autorità proroga di 90 giorni il termine originario di 30 giorni previsto per la cancellazione dei dati biometrici dei rider. Ne deriva un termine complessivo di 120 giorni dalla notifica del provvedimento n. 675/2024. Resta quindi fermo l’obbligo di eliminare i dati biometrici, ma con un differimento del termine di adempimento.

Proroga delle prescrizioni impartite ai sensi dell’art. 58, par. 2, lett. d) GDPR

Il Garante concede altresì una proroga di 90 giorni rispetto ai 60 giorni inizialmente concessi per le prescrizioni correttive. Il nuovo termine complessivo diventa dunque di 150 giorni dalla notifica del provvedimento n. 675/2024. Restano tuttavia fermi i termini ulteriori previsti per la conclusione di alcune attività di verifica:

• 90 giorni ulteriori per le verifiche previste dalle lettere e), f), g), i) e j);
• 120 giorni ulteriori per la verifica prevista dalla lettera h).

Le prescrizioni richiamate riguardano, in sintesi, la riformulazione dei messaggi ai rider, la corretta predisposizione di informativa e DPIA, la definizione dei tempi di conservazione, misure per i trattamenti automatizzati e per la profilazione, verifiche periodiche sugli algoritmi, contrasto a usi impropri e discriminatori dei feedback, rispetto del divieto di esclusione dalla piattaforma e di riduzione delle occasioni di lavoro per mancata accettazione della prestazione, applicazione dei principi di minimizzazione e privacy by design/by default nei flussi verso terze parti, analisi dei dati scambiati tramite SDK/API, verifica degli operatori con accesso cross country, disattivazione del GPS in background e indicazione visibile dell’attivazione del GPS, designazione dei rider ai sensi dell’art. 28 GDPR e adempimenti ex art. 4, comma 1, l. n. 300/1970.

Obbligo di comunicazione al Garante

La Società deve comunicare le iniziative intraprese per dare attuazione al provvedimento n. 675/2024 e trasmettere un riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice entro 90 giorni dalla scadenza dei nuovi termini concessi per la cancellazione dei dati biometrici e per l’adempimento delle prescrizioni. L’Autorità avverte che l’eventuale mancato riscontro può determinare l’applicazione della sanzione prevista dall’art. 83, par. 5, lett. e) GDPR.

Pubblicazione e impugnazione

Il provvedimento dispone la pubblicazione sul sito istituzionale del Garante ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019. È inoltre indicata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dall’art. 152 del Codice e dall’art. 10 del d.lgs. n. 150/2011.